DNS over HTTPS, ad çözümleme sorgularının şifreli web trafiği içinde taşınmasını sağlayan protokoldür. Klasik ad çözümleme trafiği açık olarak taşınır ve yol üzerindeki taraflar tarafından okunabilir, hatta değiştirilebilir. Bu protokol, sorguları şifreleyerek okunmalarını ve müdahale edilmelerini engeller. Ayrıca trafiğin normal web trafiğinden ayırt edilmesini de zorlaştırır. Bu özellik, kullanıcı gizliliği açısından olumludur. Kurumsal görünürlük açısından ise bir zorluk üretir.

Protokolün yaygınlaşması, tarayıcıların ve işletim sistemlerinin desteği vermesiyle hızlanmıştır. Bazı tarayıcılar bu özelliği varsayılan olarak etkinleştirmektedir. Bu durumda istemci, kurumun çözümleyicisini kullanmak yerine doğrudan dış bir sağlayıcıya bağlanabilir. Böylece kurum içi filtreleme ve kayıt devre dışı kalır. Bu etki, kurumsal politika gerektirir. Karar bilinçli verilmelidir.

DNS over HTTPS Nedir?

DNS over HTTPS, ad çözümleme sorgu ve yanıtlarının şifreli web protokolü üzerinden taşınarak gizliliğinin ve bütünlüğünün korunmasını sağlayan protokoldür.

Protokol, sorguları standart web istekleri biçiminde taşır. Bu tasarım, trafiğin diğer web trafiğinden ayrılmasını zorlaştırır. Benzer bir protokol olan şifreli taşıma yöntemi ise ayrı bir port kullanır ve daha kolay ayırt edilir. İki yaklaşım aynı gizliliği sağlar ama ayırt edilebilirlik açısından farklıdır. Kurumsal tercih genellikle ikinci yöndedir. Yönetilebilirlik önemlidir.

Sağladığı Faydalar

Birinci fayda gizliliktir. Kullanıcının hangi siteleri ziyaret ettiği, yol üzerindeki ağ sağlayıcıları tarafından görülemez. Bu koruma, özellikle güvenilmeyen ağlarda değerlidir. Kamuya açık kablosuz ağlarda kullanıcı gizliliği belirgin biçimde artar. Bu fayda bireysel kullanımda öne çıkar. Kurumsal ortamda ise farklı değerlendirilir.

İkinci fayda bütünlüktür. Yol üzerindeki bir tarafın sorgu yanıtını değiştirmesi engellenir. Bu koruma, DNS zehirlenmesi saldırılarının bir bölümünü etkisiz kılar. Ancak çözümleyicinin kendisine güvenilmesi gerekir. Güven noktası değişmiş olur. Bu ayrım önemlidir.

Üçüncü fayda, sansür ve müdahale girişimlerine karşı dirençtir. Ad çözümleme düzeyinde yapılan engellemeler bu protokolle atlatılabilir. Bu özellik bazı bağlamlarda olumlu, bazılarında sorun olarak değerlendirilir. Kurumsal filtreleme de aynı mekanizmayla atlatılır. Bu nedenle politika gerekir. Karar netleştirilmelidir.

• Sorguların yol üzerinde okunmasının engellenmesi
• Yanıtların değiştirilmesine karşı bütünlük koruması
• Web trafiğinden ayırt edilmesinin zorlaşması
• Kurumsal filtreleme ve kaydın atlanabilmesi
• Güven noktasının seçilen çözümleyiciye kayması

Kurumsal Görünürlük Sorunu

Kurumsal ortamda ad çözümleme kayıtları, tespit için en değerli kaynaklardan biridir. Zararlı yazılımların komuta iletişimi çoğu zaman bu katmanda iz bırakır. İstemciler dış şifreli çözümleyicilere bağlandığında bu görünürlük tamamen kaybolur. DNS log analizi yapılamaz hâle gelir. Bu kayıp ciddi bir tespit boşluğu üretir. Politika bu nedenle gereklidir.

Filtreleme de aynı şekilde devre dışı kalır. Bilinen zararlı alan adlarının engellenmesi, kurum içi çözümleyicide yapılır. Dış çözümleyici kullanan bir istemci bu engellemeyi atlar. Sonuçta önemli bir koruma katmanı kaybolur. Bu etki ölçülmelidir. Kapsam belirlenir.

Zararlı yazılımlar da bu protokolü kullanabilir. Komuta iletişimini şifreli ad çözümleme içinde taşıyan örnekler bulunmaktadır. Bu kullanım, tespiti belirgin biçimde zorlaştırır. Savunma, protokolün kullanımını kısıtlamaya dayanır. İzleme yeterli olmaz. Engelleme gerekir.

Kurumsal Politika Seçenekleri

Birinci seçenek, dış şifreli çözümleyicilere erişimin engellenmesidir. Bilinen sağlayıcı adresleri güvenlik duvarında engellenir. Ayrıca tarayıcı politikalarıyla bu özellik devre dışı bırakılır. Bu yaklaşım görünürlüğü korur. Kullanıcı gizliliği ise kurum içinde kalır. Şeffaflık sağlanmalıdır.

İkinci seçenek, kurum içi şifreli çözümleyici kullanılmasıdır. Bu yapılandırmada sorgular şifreli taşınır ama kurum içi bir sunucuya gider. Böylece hem yol üzerindeki riskler ortadan kalkar hem görünürlük korunur. Bu seçenek dengeli bir çözümdür. Uygulaması ek yapılandırma gerektirir. Sunucu desteği kontrol edilir.

Üçüncü seçenek, belirli kullanıcı grupları için istisna tanımlanmasıdır. Yüksek gizlilik gerektiren roller için farklı politika uygulanabilir. Bu ayrım, gerekçesiyle birlikte belgelenmelidir. Kapsam dar tutulur. Denetim sürdürülür. İstisnalar izlenir.

Tarayıcı ve İşletim Sistemi Ayarları

Tarayıcılar bu özelliği kendi ayarlarında yönetir ve kurumsal politikalarla merkezî olarak kontrol edilebilir. Politika tanımlanmadığında tarayıcı kendi varsayılanını uygular. Bu varsayılan sürümden sürüme değişebilir. Bu nedenle açık politika tanımı önerilir. Varsayılana güvenilmemelidir. Değişiklikler izlenmelidir.

İşletim sistemi seviyesinde de destek bulunmaktadır. Sistem çözümleyici ayarları üzerinden şifreli çözümleme yapılandırılabilir. Bu yapılandırma merkezî yönetimle uygulanır. Tarayıcı ve sistem ayarlarının tutarlı olması gerekir. Farklı ayarlar karışıklık üretir. Politika bütünsel olmalıdır.

Mobil cihazlarda da benzer ayarlar bulunur. Kurumsal cihazlarda bu ayarların yönetilmesi önerilir. Kişisel cihazlarda ise kontrol sınırlıdır. Bu durumda kurumsal erişimin ayrı kanaldan verilmesi tercih edilir. Kapsam netleştirilir. Politika buna göre yazılır.

Değerlendirme

Protokol, teknik olarak olumlu bir gelişmedir; ad çözümleme trafiğinin açık taşınması uzun süredir eleştirilen bir durumdu. Sorun, protokolün kendisi değil kurumsal ortamlarda nasıl konumlandırıldığıdır. Kurum içi çözümleyicilerle kullanıldığında hem gizlilik hem görünürlük sağlanır. Bu yapılandırma önerilen yaklaşımdır. Karar bilinçli verilmelidir. Varsayılana bırakılmamalıdır.

Politikanın çalışanlara açıklanması da önemlidir. Şifreli çözümlemenin neden kısıtlandığı anlatıldığında direnç azalır. Kurum içi çözümleyicinin de şifreleme kullandığı belirtilmelidir. Böylece gizlilik kaygısı giderilir. Şeffaf iletişim benimseme sağlar. Politika kabul görür.

Alternatif Şifreli Protokoller

Aynı gizliliği sağlayan başka bir protokol, ad çözümleme trafiğini kendi ayrılmış portu üzerinden şifreli taşır. Bu yaklaşım, trafiğin ayırt edilmesini kolaylaştırır ve kurumsal yönetimi basitleştirir. Kurum, bu porta erişimi kontrol ederek politika uygulayabilir. Web trafiği içine gizlenen yaklaşımda bu kontrol çok daha zordur. Bu nedenle kurumsal ortamlarda ayrılmış port kullanan protokol tercih edilir. İki protokol aynı korumayı sağlar.

Protokol seçimi, istemci desteğine de bağlıdır. Bazı işletim sistemleri ve tarayıcılar yalnızca birini destekler. Bu durumda karma bir yapılandırma gerekebilir. Envanterdeki istemci çeşitliliği bu kararı etkiler. Test yapılmalıdır. Kapsam belirlenir.

Yeni protokoller de geliştirilmektedir. Sorguları bir aracı üzerinden geçirerek çözümleyicinin kullanıcıyı tanımasını engelleyen yaklaşımlar bulunmaktadır. Aracılı şifreli çözümleme bu yaklaşımın adıdır. Gizlilik daha da artar. Kurumsal yönetimi ise daha zordur. İzlenmelidir.

Zararlı Kullanım Senaryoları

Zararlı yazılımlar da bu protokolü kullanabilir ve kullanmaktadır. Komuta iletişiminin şifreli ad çözümleme içinde taşınması, tespiti belirgin biçimde zorlaştırır. Trafik normal web trafiğinden ayırt edilemez. Bu kullanım, protokolün kurumsal ortamda kısıtlanması gerekçelerinden biridir. Tespit alternatifi sınırlıdır. Engelleme tercih edilir.

Ayrıca veri sızdırma da bu kanaldan yapılabilir. Sorgu içine gömülen veriler, şifreli olarak dışarı taşınır. Klasik ad çözümlemede bu yöntem kayıtlarda görünürken, şifreli kanalda görünmez. Veri sızdırma tespiti bu nedenle zorlaşır. Kanal kısıtlaması gerekir. Politika uygulanır.

Uygulama Adımları

Kurumsal uygulamanın ilk adımı, mevcut durumun ölçülmesidir. Kaç istemcinin dış şifreli çözümleyicilere bağlandığı, güvenlik duvarı kayıtları üzerinden belirlenebilir. Bu ölçüm, çoğu kurumda beklenenden yüksek bir oran gösterir. Sonuç, politika ihtiyacını somut biçimde ortaya koyar. Yönetim desteği bu veriyle alınır. Ölçüm ilk adımdır.

İkinci adım, kurum içi çözümleyicinin şifreli çözümlemeyi destekleyecek biçimde yapılandırılmasıdır. Bu yapılandırma sertifika gerektirir ve istemcilere dağıtılmalıdır. Merkezî yönetim bu dağıtımı sağlar. Test grubu üzerinde önce denenmelidir. Sorunlar erken tespit edilir. Kapsam sonra genişletilir.

Üçüncü adım, dış çözümleyicilere erişimin engellenmesidir. Bilinen sağlayıcı adresleri ve ilgili portlar kapatılır. Ayrıca tarayıcı politikaları uygulanır. İki katman birlikte çalışır. Tek katman atlatılabilir. Doğrulama testi yapılır.

Dördüncü adım, izlemenin kurulmasıdır. Politikayı atlatma girişimleri kayıtlarda görünür ve uyarı üretmelidir. Bu uyarılar, hem yapılandırma sorunlarını hem kasıtlı atlatma girişimlerini ortaya çıkarır. İnceleme süreci tanımlanır. Sonuçlar değerlendirilir. Politika güncellenir.

Privia Security olarak ad çözümleme mimarisini ve şifreli çözümleme politikalarını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.